Ransom.Win32.LEDIF.A

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

以下のファイル拡張子を持つファイルは暗号化しません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のプロセスを追加します。

• /c del {malware file path and name}>> NUL -> deletes itself

プロセスの終了

マルウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• MySQL
• MYSQL80
• MSSQLSERVER
• SQLWriter
• MSDTC
• SQLBrowser
• sqlservr.exe
• sqlwriter.exe
• msdtc.exe
• sqlbrowser.exe

その他

マルウェアは、以下を実行します。

• It encrypts Fixed and Remote/Network drives.
• It encrypts files in Network resources.
• It accepts the following arguments:
  • net ->deletes itself and will not perform its routine
  • local -> perform its routine

ランサムウェアの不正活動

マルウェアは、以下のフォルダ内で確認されたファイルの暗号化はしません。

• %Windir%
• C:\Boot
• C:\Config.msi
• C:\$Recycle Bin
• C:\System Volume Information
• C:\Recovery
• C:\Documents and Settings
• C:\ProgramData
• C:\Program Files\Microsoft Office
• C:\Program Files (x86)\Microsoft Office

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• {Original Filename}.{Original Extension}.cuba

マルウェアは、以下の内容を含む脅迫状のテキストファイルを残します。

• !!FAQ for Decryption!!.txt
  

以下のファイル拡張子を持つファイルについては暗号化しません：

• .exe
• .dll
• .sys
• .cuba

<補足>
インストール

マルウェアは、以下のプロセスを追加します。

• /c del {マルウェアのファイルパスおよび名前}>> NUL -> 自身を削除する

その他

マルウェアは、以下を実行します。

• 固定ドライブおよびリモート/ネットワークドライブを暗号化します。
• ネットワークリソース内のファイルを暗号化します。
• 以下の引数を受け入れます。
  • net -> 自身の削除および自身の不正活動を実行しません。
  • local -> 自身の不正活動を実行します。

ランサムウェアの不正活動

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• {元のファイル名}.{元の拡張子}.cuba